Schutz der Privatsphäre: Umstrittene Cookie-Speicherung - Darum geht's am BGH

Wer durchs Internet surft, muss sich im Grunde ständig mit Cookies befassen. Sie akzeptieren oder ablehnen - und entscheiden, in welchem Ausmaß das Ganze. Doch manchmal werden Cookies ohne vorherige Einwilligung der Webseiten-Nutzer auf deren Endgeräten gespeichert. Stammen die Cookies nicht vom Betreiber der jeweiligen Internetseite selbst, stellt sich die Frage nach der Haftung. Der hat sich nun der Bundesgerichtshof (BGH) in Karlsruhe gewidmet.

Worum geht's?

Ein Kläger verlangt Schadenersatz von einem Technologie- und Analyseunternehmen, das laut dem BGH auf Webseiten anderer Unternehmen Cookies bereitstellt. Es geht um die Frage, ob die beklagte Firma dafür haftet, wenn diese Cookies ohne vorherige Einwilligung der Nutzer auf deren Endgeräten gespeichert werden.

Was sind Cookies?

Cookies sind kleine Dateien, die beim Surfen auf dem Onlinegerät eines Nutzers gespeichert werden. Weil diese Dateien oft eindeutige Kennungen enthalten, können Webseiten ihre Besucher damit wiedererkennen. Ein Browser kann sich somit etwa ein Login merken oder die Inhalte eines virtuellen Warenkorbs. Vor allem machen Cookies aber personalisierte Werbung möglich.

Wie haben Gerichte bislang entschieden?

Die Vorinstanzen haben dem Kläger im Kernpunkt recht gegeben. Während das Landgericht Frankfurt am Main ihm noch den geforderten Schadenersatz in Höhe von 1.500 Euro komplett zusprach, hielt das Oberlandesgericht (OLG) Frankfurt am Main 100 Euro für ausreichend. Das lag vor allem daran, dass der Kläger das Setzen der Cookies absichtlich und bewusst herbeigeführt habe.

Die Speicherung von Cookies auf Endgeräten des Klägers ohne seine Einwilligung stellt nach Auffassung des OLG aber einen Verstoß gegen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) dar. Das beklagte Unternehmen habe sicherzustellen, dass ihm der Webseiten-Betreiber die Einwilligung des Nutzers übermittle, bevor sie Cookies auf dessen Gerät speichere. Dieses pflichtgemäße Handeln sei unterlassen worden.

Wie funktioniert das technisch?

Das Unternehmen speichere die Cookies auf den Endeinrichtungen der Nutzer auch ohne deren Einwilligung, sobald die entsprechende Anforderung durch einen Programmcode auf der besuchten Internetseite ausgelöst werde, heißt es im OLG-Urteil. Darüber hinaus greife es auf die ausgelesenen Informationen zu.

Wie argumentieren beide Seiten?

Mit der Revision am BGH will das Unternehmen erreichen, dass die Klage vollständig abgewiesen wird. Der Anwalt argumentierte in der mündlichen Verhandlung, die Betreiber der Internetseiten seien verantwortlich, die Einwilligung einzuholen. Sie gestalteten die Seiten und die Zustimmungs-Buttons. Das Unternehmen habe darauf keinen Einfluss und könne das bei Millionen von Kunden-Websites auch nicht sinnvoll kontrollieren.

Der Anwalt des Klägers entgegnete, dass sich das Unternehmen nicht auf eine vertragliche Verpflichtung der Kunden, die Zustimmung einzuholen, berufen könne. Es müsse dies selbst sicherstellen. Zumal es technisch zu lösen sei, dass Cookies erst gesetzt werden, wenn diese vorliege. Andernfalls dürften keine Cookies gesetzt werden. Der Schutz der Privatsphäre dürfe nicht leiden.

Wie sieht der BGH das?

Nach vorläufiger Einschätzung folgt der erste Zivilsenat zwar in vielen Punkten der Entscheidung des OLG - genau bei der Haftung sieht er sie aber kritisch. Inwiefern das beklagte Unternehmen für das Setzen der Cookies verantwortlich ist, müsse das Gericht in Frankfurt womöglich nochmal prüfen. Daher könnte the Fall zurückverwiesen werden, sagte der Vorsitzende Richter Thomas Koch. Darüber will der Senat zu einem späteren Zeitpunkt entscheiden. (Az. I ZR 5/26)

Welche Relevanz hat der Fall?

Das Urteil ist laut Rechtsanwältin Laura Dereje von der Wirtschaftskanzlei CMS insbesondere für Anbieter von Analyse- und Trackingdiensten relevant: «Bestätigt der BGH die Auffassung des OLG Frankfurt, dürften allein vertragliche Zusicherungen der Webseitenbetreiber künftig nicht genügen.» Vielmehr wären zusätzliche technische und organisatorische Maßnahmen erforderlich, um eine Cookie-Setzung ohne Einwilligung zu verhindern.

Ob darüber hinaus Klagen von Endnutzern wahrscheinlicher werden, bleibt aus Derejes Sicht abzuwarten. Sie müssten die Cookie-Speicherung und deren nähere Umstände gut begründet darlegen. Der Kläger habe dafür eigens ein Privatgutachten eingeholt. Zudem sei unklar, ob bei massenhaft und automatisiert provozierten Verstößen überhaupt ein Anspruch auf Schadenersatz bestehe. Dies lässt der BGH der Expertin zufolge gerade in einem anderen Verfahren vom Europäischen Gerichtshof klären.

Welche Änderungen sind auf politischer Ebene in Planung?

Die EU-Kommission schlug im November 2025 vor, das Aufploppen der Cookie-Banner zu reduzieren. Statt immer wieder der Nutzung von Cookies zuzustimmen oder sie abzulehnen, sollten Internetnutzer ihre Einstellungen zu Cookies dem Vorschlag nach auf dem eigenen Gerät speichern können. Diese Einstellung würde dann automatisch an die Seiten übermittelt werden. Wer Cookies demnach nie oder immer akzeptieren will, müsste dies in der Regel nur einmal pro Gerät festlegen.

Wird der Vorschlag umgesetzt?

Bevor die Gesetzesänderung in Kraft treten kann, müssen Europaparlament und der Rat der EU-Staaten sich noch dazu positionieren. Zwar beschäftigen sich beide Institutionen noch mit dem umfangreichen Gesetzesvorschlag, der auch Änderungen an weiteren Digitalgesetzen vorsieht. Verbraucherschützer befürchten wegen erster Reaktionen aus den Hauptstädten aber, dass die EU-Länder sich gegen den neuen Vorschlag zum Umgang mit Cookies stellen könnten.